Новая APT-группировка Stingy Basilisk почти четыре года незаметно работала во внутренней сети одного из госучреждений. Злоумышленники занимались кибершпионажем, маскировали вредоносные инструменты под используемые организацией средства защиты и выстроили многоуровневую систему управления зараженными компьютерами.
Специалисты Positive Technologies обнаружили группировку в 2026 году во время расследования инцидента. Анализ показал, что Stingy Basilisk присутствовала в инфраструктуре как минимум с апреля 2022 года. До обнаружения злоумышленники провели во внутренней сети 1398 дней. Первоначальный способ проникновения установить не удалось.
С февраля 2026 года группировка начала активнее расширять присутствие внутри сети. Для перемещения между компьютерами злоумышленники использовали протокол SMB, а программы на удаленных устройствах запускали через планировщик заданий Windows. Зараженные узлы связывались друг с другом через именованные каналы Windows, или named pipes, которые обычно применяются для обмена данными между процессами.
Stingy Basilisk выстраивала скомпрометированные компьютеры в многоуровневую цепочку. С внешним сервером связывался только один узел, а остальные передавали команды и данные внутри инфраструктуры через именованные каналы. Подобная архитектура уменьшала количество внешних сетевых соединений и позволяла добираться до изолированных сегментов сети.
В арсенал группировки входили три ранее неизвестных DLL-загрузчика: SilentCOM, TediousLoader и CunningDoor. Все три компонента ждали получения полезной нагрузки и запускали вредоносный код непосредственно в оперативной памяти. Такой подход сокращает количество файлов на диске и усложняет обнаружение вредоносной активности обычным сканированием файлов.
SilentCOM закреплялся в Windows с помощью COM Hijacking. Техника позволяет вмешаться в механизм загрузки COM-компонентов и заставить легитимную программу запустить нужный злоумышленникам код. SilentCOM при этом работал как полноценный COM-сервер и перенаправлял обращения к настоящему системному компоненту, чтобы не нарушать обычную работу сети.
TediousLoader использовал менее распространенный механизм Time Providers. Вредоносная DLL регистрировалась как поставщик времени для системной службы Windows Time, или W32Time, что позволяло автоматически запускать код вместе со службой. Загрузчик также прослушивал сетевые интерфейсы через сырые сокеты и ожидал специально сформированный пакет с параметрами подключения к управляющему серверу.
CunningDoor запускался через DLL Side-Loading. При таком способе легитимная подписанная программа загружает расположенную рядом вредоносную библиотеку. В расследованной атаке для запуска CunningDoor использовались подписанные библиотеки SafeNet IKEYUI64.dll и eToken.dll.
Специалисты также обнаружили признаки собственного средства удаленного управления Stingy Basilisk. Конечные агенты работали в виде шелл-кода, использовали прямые системные вызовы, обменивались ключами на основе Curve25519 и шифровали трафик алгоритмом ChaCha20 с измененными константами. Отдельный компонент HenMapCaCon создавал TLS-сервер поверх именованного канала и позволял передавать файлы с зараженного компьютера.
Набор скрытых каналов связи, запуск кода в памяти и несколько способов закрепления помогали Stingy Basilisk долго сохранять доступ к инфраструктуре. По оценке специалистов, характер активности и применяемые методы указывают на кибершпионаж как основную цель кампании.
Stingy Basilisk вошла в число трех APT-группировок, которые Positive Technologies впервые выявила в ходе расследований с IV квартала 2025 года по III квартал 2026 года. За указанный период специалисты идентифицировали 17 APT-группировок, а следы известных групп нашли в 49,3% организаций, попавших в выборку проектов по расследованию инцидентов.
Для поиска подобных длительных вторжений специалистам недостаточно проверять только свежие события. Расследование Stingy Basilisk показало необходимость ретроспективного анализа журналов, следов запуска программ и других артефактов за длительный период, поскольку обнаруженная активность может оказаться лишь последним эпизодом многолетнего присутствия злоумышленников.
